Datenverarbeitung in der Cloud

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Datenschutzrechtliche Anforderungen

Die Erhebung, Verarbeitung und Nutzung der Daten in der Cloud ist nur zulässig, soweit das Bundesdatenschutzgesetz oder andere Rechtsvorschriften dies erlauben, anordnen oder die Betroffenen eingewilligt haben. Eine Einwilligung aller durch die Verarbeitung tangierter Personen wird jedoch in der Praxis so gut wie unmöglich sein.

Da die Datenverarbeitung in der Cloud gerade nicht ortsgebunden ist, muss für eine datenschutzrechtliche Beurteilung und Prüfung zwingend die Kenntnis vorliegen, wo genau der Cloud-Anbieter und Unter-Anbieter die Daten des Anwenders speichern werden.

Es ist daher wichtig, dass der Cloud-Anwender über die möglichen Verarbeitungsorte vorab informiert wird, um prüfen zu können, ob die Datenverarbeitung durch den Cloud-Anbieter überhaupt zulässig und welche Vertragsgrundlage zu wählen ist.

Datenverarbeitung im Auftrag

Werden die Daten des Auftraggebers weisungsgebunden durch den Cloud-Anbieter erhoben, verarbeitet oder genutzt, spricht man von einem sogenannten Auftragsdatenverarbeitungsverhältnis. In diesem Fall ist es nicht nur notwendig, einen entsprechenden Vertrag gemäß § 11 BDSG (Bundesdatenschutzgesetz) zu schließen.

Vielmehr gilt es auch, den Anbieter vorab hinsichtlich der von ihm getroffen technischen und organisatorischen Maßnahmen zum Datenschutz und Datensicherheit zu überprüfen. Gerade hier liegen die größten Herausforderungen. Denn es wird dem Cloud-Anwender sicherlich nicht immer möglich sein, eine Vor-Ort-Prüfung durchzuführen.

Trotzdem darf der Kunde sich nicht auf bloße Zusicherung des Cloud-Anbieters verlassen. Er muss selbst recherchieren, um sich Gewissheit darüber zu verschaffen, dass gesetzliche Sicherheitsstandards beim Cloud-Anbieter eingehalten werden. Hier sind die Cloud-Anbieter als auch der Gesetzgeber gefragt, einheitliche und verlässliche Standards beispielsweise in Form von Zertifizierungen zu schaffen.

Hinsichtlich des Auftragsdatenverarbeitungsvertrags ergeben sich zunächst in der Regel keine Besonderheiten, sofern die personenbezogenen Daten von dem Cloud-Anbieter innerhalb der europäischen Union oder in einem sogenannten sicheren Drittstaat (beispielsweise Schweiz) erhoben, verarbeitet und genutzt werden.

Erfolgt die Datenverarbeitung allerdings außerhalb der EU und des europäischen Wirtschaftsraums (EWR), so gelten die Anforderungen der §§ 4b, 4c BDSG für den Drittstaatentransfer. Sollte in dem Drittstaat kein angemessenes Datenschutzniveau bestehen, müssen vom Cloud-Anwender als verantwortliche Stelle ausreichende Garantien zum Schutz des allgemeinen Persönlichkeitsrechts und der Ausübung der damit verbunden Rechte vorgewiesen werden.

Hier sollte immer eine genaue Prüfung erfolgen, ob die Datenübermittlung rechtlich zulässig ist und die richtige Vertragsgrundlage, wie beispielsweise die EU-Standardvertragsklauseln, genutzt wird.

(ID:37206630)